Ciberseguridad empresarial: proteger los datos será clave para adoptar la inteligencia artificial
La industria de la ciberseguridad está avanzando hacia un modelo en el que la protección del correo electrónico, las identidades digitales y los datos corporativos debe funcionar de manera coordinada. Una señal de esta tendencia es el acuerdo anunciado el 15 de octubre de 2026, mediante el cual Proofpoint acordó adquirir Varonis Systems en una operación valorada en aproximadamente US$ 6.300 millones. La transacción busca combinar capacidades de seguridad centradas en las personas, la protección de datos y los riesgos asociados a la inteligencia artificial. Su cierre está previsto para el primer semestre de 2027, sujeto a las condiciones y aprobaciones correspondientes.
Para las empresas chilenas, esta operación representa una oportunidad para analizar un problema que muchas organizaciones todavía no han resuelto: saber dónde están sus datos críticos, quién puede acceder a ellos y qué sucede cuando una persona, aplicación o sistema de inteligencia artificial utiliza información empresarial. En un entorno donde los datos impulsan la automatización y la innovación, una estrategia de ciberseguridad debe proteger no solo los sistemas, sino también la información que permite operar y competir.
Qué ocurrió y por qué es importante
Proofpoint es una empresa especializada en seguridad empresarial, con soluciones orientadas a proteger el correo electrónico, las personas y las comunicaciones digitales. Varonis, por su parte, desarrolla tecnologías para identificar información sensible, analizar permisos y detectar comportamientos que podrían indicar exposición o uso indebido de datos.
Según el anuncio corporativo, la adquisición propuesta busca integrar estas capacidades para ofrecer una plataforma de protección más amplia, con especial atención a los riesgos relacionados con la adopción de inteligencia artificial. El acuerdo contempla un pago en efectivo de US$ 49,75 por acción de Varonis y está sujeto a las condiciones habituales de cierre. Hasta que la operación se complete, ambas compañías continuarán funcionando de forma independiente.
La importancia estratégica no reside únicamente en el tamaño de la transacción. El movimiento refleja una tendencia del mercado: las empresas de seguridad buscan conectar la detección de amenazas con la comprensión de los datos que están en riesgo.
Por ejemplo, identificar un correo electrónico malicioso es importante, pero no siempre permite determinar el impacto potencial de un ataque. También es necesario conocer qué credenciales podrían quedar comprometidas, a qué repositorios permiten acceder y qué información puede extraerse si el incidente tiene éxito.
Esta visión adquiere mayor relevancia con la expansión de herramientas de inteligencia artificial capaces de consultar documentos, resumir archivos, analizar información financiera y automatizar tareas empresariales.
La seguridad debe evolucionar desde la protección de los accesos hacia el control efectivo de la información a la que esos accesos permiten llegar.
La tendencia: seguridad centrada en los datos y la inteligencia artificial
Durante años, muchas estrategias de seguridad se construyeron alrededor de perímetros de red, antivirus, firewalls y controles de acceso. Estas medidas siguen siendo importantes, pero la infraestructura empresarial actual es más distribuida.
Los datos pueden encontrarse en servidores locales, plataformas cloud, aplicaciones SaaS, herramientas de colaboración y dispositivos utilizados por trabajadores remotos. Además, distintas aplicaciones y servicios pueden intercambiar información automáticamente.
Esta complejidad genera tres desafíos.
1. Saber dónde están los datos sensibles
Una empresa puede almacenar información de clientes, contratos, datos financieros, credenciales y documentos internos en múltiples repositorios. Sin un inventario actualizado, resulta difícil establecer qué información requiere mayor protección.
La clasificación debe considerar tanto el contenido como su importancia para el negocio. No todos los documentos presentan el mismo nivel de riesgo.
2. Controlar los permisos efectivos
Los permisos excesivos son una fuente de exposición que suele pasar inadvertida. Un usuario puede conservar acceso a documentos que ya no necesita, mientras que carpetas compartidas pueden permanecer abiertas a grupos demasiado amplios.
El problema también afecta a las cuentas de servicio, las integraciones entre aplicaciones y los agentes de inteligencia artificial.
3. Gobernar el uso de inteligencia artificial
Las herramientas de IA pueden aumentar la productividad, pero también pueden facilitar el acceso a información que un usuario o sistema no debería utilizar para una tarea determinada.
El riesgo no depende exclusivamente del modelo de IA. También intervienen los permisos de las cuentas conectadas, las políticas de acceso, los datos disponibles y la forma en que se registran las acciones realizadas.
Por esta razón, una estrategia de inteligencia artificial empresarial debe contemplar controles de seguridad desde el diseño, en lugar de incorporarlos únicamente cuando aparece un incidente.
Cómo impacta esta tendencia en las empresas chilenas
Las organizaciones de Chile que avanzan hacia modelos híbridos de trabajo, servicios cloud y automatización enfrentan desafíos similares a los de los mercados internacionales. Sin embargo, el nivel de exposición depende de su infraestructura, sus procesos y la sensibilidad de los datos que administran.
En sectores como servicios financieros, salud, comercio, logística y servicios profesionales, una filtración puede afectar la continuidad operativa, la confianza de los clientes y el cumplimiento de obligaciones contractuales o regulatorias.
Una cuenta comprometida, por ejemplo, puede convertirse en una puerta de entrada a documentos compartidos. Si los permisos están mal configurados, el incidente podría extenderse más allá del correo electrónico y alcanzar información comercial o financiera.
En organizaciones que utilizan servicios cloud, el desafío consiste en coordinar los controles de identidad, las configuraciones de almacenamiento, la supervisión de actividad y los procedimientos de respuesta. Por eso, los proyectos de cloud & datacenter deben incluir criterios de seguridad y gobierno de datos desde su planificación.
Las empresas que actúen tempranamente podrán mejorar la visibilidad sobre sus activos de información, reducir accesos innecesarios y adoptar herramientas de IA con mayor control. Las que posterguen estas decisiones podrían acumular riesgos difíciles de detectar hasta que se produzca una brecha.
Riesgos para las organizaciones que no se adapten
No contar con una estrategia de protección de datos puede generar consecuencias que van más allá de una interrupción técnica.
Exposición de información confidencial. Los permisos excesivos y las configuraciones deficientes pueden permitir que personas o aplicaciones accedan a datos sensibles sin una justificación válida.
Mayor impacto de las cuentas comprometidas. Cuando una identidad dispone de privilegios amplios, un atacante puede utilizarla para acceder a múltiples recursos.
Adopción descontrolada de IA. Si las herramientas de inteligencia artificial se conectan a repositorios sin una revisión previa de permisos, pueden ampliar la exposición de documentos corporativos.
Dificultad para investigar incidentes. La ausencia de registros centralizados y procedimientos definidos puede retrasar la identificación del origen, el alcance y las consecuencias de un ataque.
Inversiones poco eficientes. Comprar nuevas herramientas sin revisar los procesos existentes puede aumentar la complejidad tecnológica sin resolver los problemas principales.
La respuesta no consiste en adquirir todas las soluciones disponibles, sino en identificar las brechas que representan mayor riesgo para el negocio y priorizar los controles en función de su impacto.
Visión experta de tiuruguay® : la madurez digital exige gobernar los datos
La adquisición propuesta entre Proofpoint y Varonis ofrece una oportunidad para revisar cómo se relacionan la protección de las personas, la seguridad de los datos y el desarrollo de nuevas capacidades digitales.
Desde una perspectiva de consultoría, la madurez digital no se mide únicamente por la cantidad de tecnología desplegada. También depende de la capacidad de una organización para administrar sus activos, asignar responsabilidades, medir resultados y adaptar sus controles a medida que cambian los riesgos.
Una estrategia efectiva debería avanzar en cuatro frentes.
Inventario y clasificación de información
El primer paso es identificar dónde se almacena la información crítica y quién es responsable de ella. La clasificación permite distinguir datos públicos, internos, confidenciales y sujetos a restricciones especiales.
Esta tarea debe mantenerse actualizada cuando se incorporan nuevas aplicaciones, se modifican procesos o se habilitan integraciones con IA.
Gestión de identidades y privilegios
Las organizaciones deberían revisar periódicamente los accesos de usuarios, administradores, cuentas de servicio y aplicaciones. El principio de mínimo privilegio establece que cada identidad debe disponer solamente de los permisos necesarios para realizar sus funciones.
También es recomendable implementar autenticación multifactor, revisar las cuentas inactivas y establecer procesos formales de alta, modificación y baja de accesos.
Supervisión y respuesta
La capacidad de detectar una anomalía pierde valor si no existe un procedimiento para actuar. Los equipos deben definir responsables, criterios de escalamiento, mecanismos de contención y procesos de recuperación.
La integración de registros de identidad, correo, endpoints y servicios cloud permite construir una visión más completa de los incidentes.
Gobierno de la inteligencia artificial
Antes de conectar un sistema de IA con información corporativa, la empresa debe definir qué datos puede consultar, qué acciones puede ejecutar y cómo se supervisará su comportamiento.
También necesita establecer mecanismos de trazabilidad, revisión de resultados y revocación de permisos cuando cambien las condiciones de uso.
En este contexto, los servicios TI deben entenderse como parte de una estrategia de operación y gobierno, no solamente como soporte técnico. La coordinación entre infraestructura, aplicaciones y seguridad permite que las inversiones respondan a objetivos empresariales concretos.
¿Qué debería hacer una empresa hoy?
Las organizaciones no necesitan esperar a que se complete la adquisición para revisar sus controles. Las siguientes acciones pueden ejecutarse de manera progresiva:
- Identificar los datos críticos: localizar documentos financieros, información de clientes, contratos y otros activos sensibles.
- Revisar los permisos: detectar carpetas compartidas, cuentas privilegiadas y accesos que ya no sean necesarios.
- Evaluar las aplicaciones conectadas: comprobar qué servicios pueden leer, modificar o transferir información empresarial.
- Establecer reglas para la IA: definir qué herramientas están autorizadas y qué información pueden utilizar.
- Fortalecer las identidades: implementar autenticación multifactor y revisar las cuentas de servicio.
- Mejorar la monitorización: establecer alertas sobre accesos anómalos, descargas masivas y cambios de privilegios.
- Probar la respuesta a incidentes: realizar ejercicios que permitan comprobar si los equipos pueden detectar, contener y recuperar los servicios afectados.
- Medir los avances: definir indicadores como el porcentaje de datos clasificados, las cuentas revisadas y el tiempo necesario para detectar incidentes.
Estas medidas deben acompañarse de una evaluación de la infraestructura, el software y los procesos de operación. La tecnología aporta capacidades, pero los resultados dependen de su configuración y de la disciplina con que se administra.
¿Por qué este tema importa para la madurez digital?
La protección de datos debe abordarse desde cinco dimensiones complementarias.
Personas: los trabajadores necesitan comprender los riesgos asociados al intercambio de información, los permisos y el uso de herramientas de IA.
Procesos: la organización debe establecer procedimientos para clasificar datos, autorizar accesos, gestionar cambios y responder a incidentes.
Tecnología: las soluciones de seguridad deben proporcionar visibilidad sobre identidades, dispositivos, aplicaciones, infraestructura y repositorios de información.
Gobierno: es necesario asignar responsables, definir políticas y establecer mecanismos de supervisión que permitan demostrar que los controles funcionan.
Riesgo: las inversiones deben priorizarse según el impacto potencial sobre la operación, los clientes, la información y la reputación.
La ciberseguridad alcanza mejores resultados cuando estas dimensiones se gestionan de manera coordinada. Una herramienta avanzada no compensa por sí sola la ausencia de responsables, políticas claras o procesos de revisión.
La adquisición anunciada entre Proofpoint y Varonis refleja un cambio relevante en la industria: proteger los datos y controlar su utilización se está convirtiendo en una condición fundamental para aprovechar la inteligencia artificial y operar en entornos digitales complejos.
Para las empresas chilenas, la decisión estratégica no es seguir cada movimiento del mercado, sino revisar si sus capacidades actuales permiten conocer, proteger y gobernar la información corporativa. Las organizaciones que desarrollen esta capacidad estarán mejor preparadas para adoptar nuevas tecnologías sin perder el control sobre sus activos más importantes.
Avanzar en madurez digital significa integrar personas, procesos y tecnología en una estrategia medible, capaz de reducir riesgos y sostener la innovación.
¿Tu organización conoce qué información crítica está expuesta y quién puede acceder a ella?
Contacta a TiChile para conversar sobre las necesidades de infraestructura, seguridad y transformación digital de tu empresa.
